公有子网中具有 EIP 的 EC2 实例未连接到 Internet答案

【问题标题】：EC2 instance with EIP in Public subnet not connecting to Internet公有子网中具有 EIP 的 EC2 实例未连接到 Internet
【发布时间】：2020-04-16 01:27:39
【问题描述】：

我有一个奇怪的问题，我可以使用 RDP 和 HTTP 连接到 AWS VPC 中公共子网中的 EC2 实例。但是，通过 RDP 成功连接到实例后，我无法（从实例）连接到 Internet。

a) 我创建了一个非默认 AWS VPC 并将一个 IGW 关联到它。 VPC的地址范围是10.0.0.0/16。已创建地址空间为 10.0.5.0/24 的子网

c) 为了使子网公开，我决定保留主路由表，并创建一个包含以下条目的附加路由表

10.0.0.0/16 本地 0.0.0.0/0 igw

d) 此路由表与子网 10.0.5.0/24 相关联。这使它成为一个公共子网

e) NACL 设置为允许： 入站流量 HTTP(80)、HTTPS(80)、SSH(22)、RDP(3389) 用于 IPV4 和 NACL 出站流量 ALL TRAFFIC ALL PROTOCOL ALL PORT Range Destination 0.0.0.0/0

f) 安全组设置为：

入站所有流量所有所有 0.0.0.0/0 出站所有流量所有所有 0.0.0.0/0

g) 我在公共子网中创建了一个 EC2 实例，并为其分配了一个弹性 EIP。我可以使用 RDP 连接到此，并且可以通过在本地浏览器中键入 EC2 的公共 DNS 名称来访问 IIS 欢迎页面。但是，从我打开 IE 并尝试访问任何流行网站的实例开始，我无法访问 Internet。我总是收到“无法访问此页面”

h) 我禁用了 Windows 防火墙并尝试访问 Internet。但是还是不行。

i) tracert 输出仅在所有行中显示 Request timed Out。

任何帮助将不胜感激。

感谢和问候哥们

【问题讨论】：

可能是 dns 不工作？您是否 ping 了任何 IP 而不是 dns 名称？
你可以尝试刷新 dns
你的意思是 https (443)
@Arun K 谢谢..也尝试过 ping IP。它没有用。我在 NACL 和 SG 中将传出规则设置为 ALL Traffic All 协议，因此假设 ping 使用的 ICMP 将被覆盖。
@Arun K 尝试使用命令 ipconfig /flushdns 刷新 DNS，但没有解决问题

标签： amazon-ec2 aws-ec2-instance-connect

【解决方案1】：

首先，验证是否满足以下条件：

实例子网中的路由表有一条默认路由到互联网网关。附加到实例的安全组弹性网络接口必须允许以下出站流量端口：用于 HTTP 流量的端口 80 用于 HTTP 流量的端口 443 识别与关联的网络访问控制列表 (ACL) 实例所在的子网。这些网络 ACL 必须具有允许端口 80 和 443 上的入站和出站流量的规则。

您无需打开所有端口即可启用传出网络流量。

https://aws.amazon.com/premiumsupport/knowledge-center/ec2-connect-internet-gateway/

【讨论】：

感谢您的跟进。我在这里看到的是请求来源之间的区别：如果我的理解有误，请纠正我。
我的理解是浏览器正在利用临时端口向侦听端口 80/443 的远程服务器发送请求。所以EC2中浏览器使用的这些临时端口也应该在NACL和SG中打开。
Arun K 我尝试了这些步骤。谢谢。然而它没有用。如前所述，防火墙不是问题。正如我在这个线程中提到的，我怀疑浏览器使用的临时端口被 NACL 阻止。
很高兴你得到这个排序

【解决方案2】：

最后我能够解决这个问题。我加了

所有 TCP TCP (6) 0 - 65535 0.0.0.0/0 允许

作为 NACL 中的入站规则。我立即能够从 Ec2 实例中的浏览器访问 Internet。

但是我不相信应该打开所有端口以在公共子网中的 EC2 实例上使用浏览器。有没有更好的方法来做到这一点？

我可以考虑设置一个转发代理服务器作为这种情况下基于浏览器的传出流量的解决方案？请推荐

【讨论】：